OSINT em imagens: EXIF, ELA e detecção de manipulação

Uma imagem pode mentir de duas formas: no que mostra e no que afirma sobre si mesma. A análise forense de imagem em OSINT verifica ambas: extrai os metadados que dizem quando e como a foto foi feita, e inspeciona os pixels em busca de sinais de manipulação. Este guia apresenta um fluxo prático com ExifTool, FotoForensics e Forensically.

Camada 1: metadados EXIF com ExifTool

O EXIF é o conjunto de metadados embutidos pela câmera: marca e modelo, lente, data e hora, parâmetros de exposição e, às vezes, coordenadas de GPS. O ExifTool é a ferramenta de referência para lê-los, escrever e editar em praticamente qualquer formato.

A sintaxe básica é exiftool [opções] [arquivo]. Extrair tudo:

exiftool foto.jpg

Extrair apenas o bloco de GPS:

exiftool -GPS:all foto.jpg

Ver os nomes técnicos das tags e seus grupos, útil para citar a origem exata de cada dado:

exiftool -s -G foto.jpg

Processar uma pasta inteira e exportar para planilha:

exiftool -csv *.jpg > metadados.csv

Flags úteis:

Flag	Função
-GPS:all	Extrai toda informação de GPS
-a	Mostra tags duplicadas (ocultas por padrão)
-G	Agrupa a saída por origem do metadado
-s	Usa os nomes técnicos das tags
-csv	Saída em CSV para lote

Interpretação: a tag Software pode revelar edição (por exemplo, nome de um editor de imagem), enquanto divergências entre DateTimeOriginal e ModifyDate sugerem alteração posterior. Armadilha crucial: a ausência de EXIF não prova manipulação. Redes sociais removem metadados por padrão ao publicar, então uma imagem "limpa" pode ser apenas uma imagem que passou pelo Instagram. E metadados são facilmente forjáveis, portanto trate-os como indício, não prova.

Camada 2: Error Level Analysis (ELA)

A Error Level Analysis, descrita por Neal Krawetz, é a pedra angular da análise forense de JPEG. A ideia: o JPEG é um formato com perda, e cada salvamento recomprime a imagem. Ao recomprimir propositalmente a imagem num nível de qualidade conhecido e comparar os níveis de erro, regiões manipuladas aparecem com artefatos de compressão diferentes do entorno original.

Na prática, numa imagem autêntica salva uma única vez, as bordas de todos os objetos reagem de forma parecida à recompressão. Uma região colada de outra foto, ou recém-editada, costuma brilhar com intensidade distinta no mapa de ELA, porque tem um histórico de compressão diferente.

FotoForensics

O FotoForensics, site do próprio Neal Krawetz, oferece ELA e um dump limpo de metadados. Fluxo:

1. Envie a imagem (ou cole a URL).
2. Observe o mapa de ELA: procure regiões com brilho destoante em relação ao resto.
3. Confira a aba de metadados para cruzar com o que o ExifTool mostrou.

Cuidado: o FotoForensics recompila a imagem uma vez; reenviar uma imagem já processada contamina o resultado. Sempre analise o original de maior qualidade disponível.

Forensically

O Forensically (em 29a.ch/photo-forensics) é um conjunto gratuito de ferramentas de forense digital que roda no navegador e inclui ELA, detecção de clonagem, extração de metadados, análise de ruído e lupa de ampliação.

Ferramentas mais úteis do Forensically:

• Magnifier (lupa): amplia e realça para revelar artefatos sutis e emendas.
• Clone Detection: destaca regiões copiadas e coladas dentro da mesma imagem, típico de remoção de objetos.
• Error Level Analysis: mesma técnica do FotoForensics, com controles de qualidade e opacidade ajustáveis.
• Noise Analysis: revela diferenças no padrão de ruído; áreas inseridas costumam ter ruído incompatível.
• Level Sweep / Luminance Gradient: realça transições e inconsistências de iluminação.

Limites e falsos positivos

Nenhuma dessas técnicas é um botão de "verdadeiro ou falso". Elas levantam hipóteses que você confirma por corroboração. Pontos de atenção:

• ELA só se aplica bem a JPEG; em PNG ou imagens muito recompartilhadas perde sentido.
• Texto sobreposto, bordas nítidas e áreas de alto contraste naturalmente brilham no ELA sem serem fraude.
• Imagens geradas ou alteradas por IA podem não deixar os rastros clássicos de clonagem, exigindo análise complementar.
• A procedência (de onde a imagem apareceu primeiro) costuma dizer mais que qualquer filtro: use busca reversa para rastrear a origem.

Passo a passo na prática

Verificando uma imagem suspeita de fonte aberta:

1. Preserve o original: baixe a maior resolução disponível e calcule um hash (por exemplo, sha256sum imagem.jpg) para registrar a cadeia de custódia.
2. Metadados: rode exiftool -a -G -s imagem.jpg e anote câmera, datas e software.
3. ELA: analise no FotoForensics e procure regiões com energia destoante.
4. Clonagem e ruído: no Forensically, rode Clone Detection e Noise Analysis.
5. Procedência: faça busca reversa para achar a aparição mais antiga e o contexto original.
6. Conclua com nuance: escreva o grau de confiança e as limitações, nunca um veredito categórico sem base.

A força da análise está na convergência: metadados coerentes, ELA sem anomalias e uma procedência verificável, juntos, sustentam autenticidade; qualquer um isolado é frágil.

Ética e legalidade

Analise apenas imagens obtidas de fontes abertas e com finalidade legítima. Imagens contêm dados pessoais e, por vezes, íntimos; a LGPD e o Marco Civil protegem a privacidade mesmo de conteúdo público. Nunca use análise forense para expor, constranger ou difamar pessoas, e tome cuidado redobrado com imagens que envolvam menores. Divulgue achados de forma responsável e proporcional.

Convite

Traga uma imagem-desafio (sem dados sensíveis) e seu laudo passo a passo para a comunidade OsintHunters Brasil. A verificação coletiva é a melhor escola de forense de imagem.